🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma nova análise descobriu que o agente da ameaça rastreado como TeamPCP está ativo no cenário do crime cibernético desde 2020, indicando que o grupo vem comprometendo a infraestrutura voltada para a Internet há anos antes de treinar sua visão na cadeia de fornecimento de software.
“A conexão é suportada por domínios sobrepostos, caminhos de implantação de malware, técnicas de teste, infraestrutura de backend e comércio operacional”, disseram os pesquisadores da Oligo Security, Avi Lumelsky e Gal Elbaz.
Isso inclui duas campanhas observadas no segundo semestre de 2025: ShadowRay 2.0 (também conhecido como IronErn), que envolveu o sequestro de infraestrutura de inteligência artificial (IA) para uma botnet autopropagada, e TA-NATALSTATUS, que tinha como alvo servidores Redis expostos para fornecer mineradores de criptomoedas.
TA-NATALSTATUS é avaliado como uma evolução de uma campanha anterior detalhada pela Trend Micro em abril de 2020, que envolvia direcionar servidores Redis para implantar malware. Isso sugere que o ator da ameaça tem visado ativamente a infraestrutura acessível pela Internet em Ray, Docker, Redis e React muito antes de se autodenominar TeamPCP.
Os detalhes dos invasores surgiram pela primeira vez no final do ano passado, quando foram vinculados à exploração de falhas de segurança em React Server Components (RSC) e Next.js para facilitar a extração de credenciais e dados confidenciais de ambientes comprometidos. A atividade recebeu o codinome Operação PCPcat.
Então, no início deste ano, Flare detalhou uma campanha massiva realizada pelo ator da ameaça para atingir sistematicamente ambientes nativos da nuvem como parte dos esforços para configurar infraestrutura maliciosa para exploração subsequente.
“Os objetivos da operação eram construir um proxy distribuído e uma infraestrutura de varredura em escala e, em seguida, comprometer os servidores para exfiltrar dados, implantar ransomware, realizar extorsão e minerar criptomoedas”, observou na época o pesquisador de segurança da Flare, Assaf Morag.
Desde então, o grupo se ramificou em compromissos de cadeia de suprimentos de alto perfil, transformando a natureza interconectada do software moderno em uma arma para infectar sistemas de desenvolvedores em massa, envenenando bibliotecas populares de código aberto por meio de uma combinação de ações do GitHub e abuso de roubo de tokens.
“Um dos vínculos operacionais mais fortes é a sobreposição entre as identidades IronErn GitHub e GitLab observadas durante o ShadowRay 2.0 e a infraestrutura posterior do TeamPCP”, disse Oligo. “A correlação de logs de autenticação do GitLab, infraestrutura de comando e controle, atividade de shell reverso e preparação de malware estabelece uma ponte operacional direta entre a campanha ShadowRay 2.0 e o ator operando posteriormente publicamente como TeamPCP.”
As últimas descobertas mostram que não apenas esses esforços estão interligados, mas também que o ator da ameaça abusou repetidamente de falhas de segurança conhecidas que impactam React, Docker, Redis e Ray para obter acesso e confiar em técnicas de exploração automatizadas e wormáveis para autopropagação.
A expansão para ataques em cascata à cadeia de fornecimento de software representa, portanto, uma evolução natural desta tendência, permitindo que os agentes da ameaça tirem partido da infra-estrutura legítima da nuvem e reaproveitem métodos experimentados e testados nos seus esforços.
Essas mudanças foram complementadas por atualizações contínuas em seu arsenal de malware, incluindo um script Python (“kube.py”) que é usado especificamente após violar ambientes Kubernetes. Embora as versões anteriores do script se concentrassem na propagação e na configuração da persistência, novas variantes observadas recentemente, em março de 2026, começaram a incorporar funcionalidades semelhantes às do limpador.
Esse caminho de código destrutivo verificou se o sistema da vítima estava configurado para o fuso horário do Irã e, se for esse o caso, disparou um DaemonSet que limpou todos os nós do cluster por meio de um limpador não tão sutilmente chamado Kamikaze. Nos nós do Kubernetes localizados fora do Irã, ele implantou o backdoor CanisterWorm. Para sistemas iranianos não Kubernetes, o malware executou uma rotina “poison_pill()” para apagar todo o sistema de arquivos.
“Se esta continuidade reflete uma reformulação direta da marca, um conjunto de operadores compartilhados ou uma colaboração estreita entre atores historicamente relacionados, não pode ser determinado com 100% de certeza”, disse Oligo. “O que as evidências demonstram é que o TeamPCP representa a continuação de um ecossistema operacional existente, em vez de um ator de ameaça inteiramente novo que apareceu no final de 2025.”
“A conexão é suportada por domínios sobrepostos, caminhos de implantação de malware, técnicas de teste, infraestrutura de backend e comércio operacional”, disseram os pesquisadores da Oligo Security, Avi Lumelsky e Gal Elbaz.
Isso inclui duas campanhas observadas no segundo semestre de 2025: ShadowRay 2.0 (também conhecido como IronErn), que envolveu o sequestro de infraestrutura de inteligência artificial (IA) para uma botnet autopropagada, e TA-NATALSTATUS, que tinha como alvo servidores Redis expostos para fornecer mineradores de criptomoedas.
TA-NATALSTATUS é avaliado como uma evolução de uma campanha anterior detalhada pela Trend Micro em abril de 2020, que envolvia direcionar servidores Redis para implantar malware. Isso sugere que o ator da ameaça tem visado ativamente a infraestrutura acessível pela Internet em Ray, Docker, Redis e React muito antes de se autodenominar TeamPCP.
Os detalhes dos invasores surgiram pela primeira vez no final do ano passado, quando foram vinculados à exploração de falhas de segurança em React Server Components (RSC) e Next.js para facilitar a extração de credenciais e dados confidenciais de ambientes comprometidos. A atividade recebeu o codinome Operação PCPcat.
Então, no início deste ano, Flare detalhou uma campanha massiva realizada pelo ator da ameaça para atingir sistematicamente ambientes nativos da nuvem como parte dos esforços para configurar infraestrutura maliciosa para exploração subsequente.
“Os objetivos da operação eram construir um proxy distribuído e uma infraestrutura de varredura em escala e, em seguida, comprometer os servidores para exfiltrar dados, implantar ransomware, realizar extorsão e minerar criptomoedas”, observou na época o pesquisador de segurança da Flare, Assaf Morag.
Desde então, o grupo se ramificou em compromissos de cadeia de suprimentos de alto perfil, transformando a natureza interconectada do software moderno em uma arma para infectar sistemas de desenvolvedores em massa, envenenando bibliotecas populares de código aberto por meio de uma combinação de ações do GitHub e abuso de roubo de tokens.
“Um dos vínculos operacionais mais fortes é a sobreposição entre as identidades IronErn GitHub e GitLab observadas durante o ShadowRay 2.0 e a infraestrutura posterior do TeamPCP”, disse Oligo. “A correlação de logs de autenticação do GitLab, infraestrutura de comando e controle, atividade de shell reverso e preparação de malware estabelece uma ponte operacional direta entre a campanha ShadowRay 2.0 e o ator operando posteriormente publicamente como TeamPCP.”
As últimas descobertas mostram que não apenas esses esforços estão interligados, mas também que o ator da ameaça abusou repetidamente de falhas de segurança conhecidas que impactam React, Docker, Redis e Ray para obter acesso e confiar em técnicas de exploração automatizadas e wormáveis para autopropagação.
A expansão para ataques em cascata à cadeia de fornecimento de software representa, portanto, uma evolução natural desta tendência, permitindo que os agentes da ameaça tirem partido da infra-estrutura legítima da nuvem e reaproveitem métodos experimentados e testados nos seus esforços.
Essas mudanças foram complementadas por atualizações contínuas em seu arsenal de malware, incluindo um script Python (“kube.py”) que é usado especificamente após violar ambientes Kubernetes. Embora as versões anteriores do script se concentrassem na propagação e na configuração da persistência, novas variantes observadas recentemente, em março de 2026, começaram a incorporar funcionalidades semelhantes às do limpador.
Esse caminho de código destrutivo verificou se o sistema da vítima estava configurado para o fuso horário do Irã e, se for esse o caso, disparou um DaemonSet que limpou todos os nós do cluster por meio de um limpador não tão sutilmente chamado Kamikaze. Nos nós do Kubernetes localizados fora do Irã, ele implantou o backdoor CanisterWorm. Para sistemas iranianos não Kubernetes, o malware executou uma rotina “poison_pill()” para apagar todo o sistema de arquivos.
“Se esta continuidade reflete uma reformulação direta da marca, um conjunto de operadores compartilhados ou uma colaboração estreita entre atores historicamente relacionados, não pode ser determinado com 100% de certeza”, disse Oligo. “O que as evidências demonstram é que o TeamPCP representa a continuação de um ecossistema operacional existente, em vez de um ator de ameaça inteiramente novo que apareceu no final de 2025.”
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #teampcp #vinculado #a #ataques #redis #que #datam #de #2020 #e #posteriores #à #campanha #da #cadeia #de #suprimentos
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário